Freigeben über

Geräteidentität und -sicherheit

  • Artikel

Wichtig

Dies ist die Dokumentation zu Azure Sphere (Legacy). Azure Sphere (Legacy) wird am 27. September 2027 eingestellt, und Benutzer müssen bis zu diesem Zeitpunkt zu Azure Sphere (integriert) migrieren. Verwenden Sie die Versionsauswahl oberhalb des Inhaltsverzeichniss, um die Dokumentation zu Azure Sphere (Integriert) anzuzeigen.

Sie können zahlreiche Geräte gleichzeitig bereitstellen und verwalten. Die Geräteverwaltung basiert auf der Möglichkeit, jedes Gerät bei Bedarf einzeln zu identifizieren und darauf zuzugreifen. Um dies zu ermöglichen, erhält jedes Azure Sphere-Gerät eine eindeutige interne Geräte-ID, die durch Updates des Geräts, einschließlich Wiederherstellungsvorgängen, beibehalten wird.

In digitalen Systemen kann die ID eines Geräts jedoch leicht gefälscht, gefälscht oder missbraucht werden. Daher sollten Sie nur Geräte zulassen, deren Identitäten überprüft und überprüft werden können, um auf Ihre hoch wertvollen Daten zuzugreifen und eine Verbindung mit Ihren Diensten herzustellen.

Azure Sphere stellt einen Prozess bereit, mit dem ein Gerät sich selbst (Authentifizierung) identifizieren und die Identität des Geräts (Nachweis) bestätigen kann. Der vom Azure Sphere Security Service verwendete Authentifizierungs- und Nachweisprozess verwendet bereits bekannte Schlüssel, sichere Kommunikation und spezielle Hardware, um die Identität eines Geräts zu bestätigen. Wenn die Geräteauthentifizierung und der Nachweis erfolgreich sind, wird ein Zertifikat an das Gerät ausgestellt. Ein gültiges Zertifikat gibt folgendes an:

  • Die Identität des Geräts wurde überprüft.
  • Das Gerät kann vertrauenswürdig sein.

Mit Azure Sphere werden die Gerätezertifikate zuerst an ein Zertifikat auf Mandantenebene verkettet (wodurch es für eine Organisation einfach ist, nur Geräten von eigenen Mandanten zu vertrauen) und dann an ein Microsoft-Zertifikat, das angibt, dass Microsoft überprüft hat, dass diese Hardware eine überprüfte Instanz eines zertifizierten Azure Sphere-Chips ist, der ein gesichertes Microsoft-Betriebssystem ausführt.

Die folgenden Konzepte können die Geräteidentität auf sichere und effektive Weise verwenden:

  • Vertrauen ist vorübergehend
    Das Vertrauen in ein System kann verloren gehen, und es kann wiedererlangt werden. Ein Prinzip der Implementierung der Zero Trust-Architektur in einem IoT-System besteht darin, explizit zu überprüfen. Dies bedeutet, dass Sie jedes Mal, wenn Sie eine Interaktion mit einem Gerät haben, explizit die Authentizität des Geräts bestimmen und nachweisen, dass die Datentransaktion vertrauenswürdig ist. Azure Sphere-Geräte führen automatisch alle 24 Stunden einen Authentifizierungs- und Nachweisprozess mit den Azure Sphere Cloud Security Services durch. Ein Hinweis darauf, dass die Identität eines Geräts erfolgreich überprüft wurde, ist das Vorhandensein eines kryptografisch signierten Zertifikats, das im Microsoft Azure Sphere Cloud Security Service verwurzelt ist.

  • Identity = Bezeichner + Nachweis
    Bezeichner können kopiert und dupliziert werden. Daher kann ein Gerät nicht einfach durch seinen Bezeichner bekannt sein. Die Identität eines Geräts (oder die Identität eines Benutzers) muss als Kombination aus einem Bezeichner und nachweis angesehen werden, dass ein solcher Bezeichner innerhalb eines bestimmten Kontexts gültig ist. Sie sollten Geräten keine Bezeichner zuweisen und unabhängig vom Nachweisprozess verwenden. Kombinieren Sie nach Möglichkeit Bezeichner mit Nachweisen auf jeder Interaktionsebene innerhalb Ihrer Systeme.

  • Bezeichner + Vertrauenszertifikate
    Ein Bezeichner sollte nicht mehr als ein Verweis betrachtet werden. Allein sollte es nicht angenommen werden, etwas über die Vertrauenswürdigkeit des Objekts anzugeben, auf das es verweist. Verwenden Sie beispielsweise einen Bezeichner zum Abonnieren von MQTT-Nachrichten, verwenden Sie einen Bezeichner, um vertrauenswürdige Daten in einem Portal zu gruppieren und Bezeichner zum Weiterleiten von Datenverkehr und Daten in einem System zu verwenden. Wenn es jedoch darum geht, dem Bezeichner zu vertrauen, vertrauen Sie einem kryptografisch signierten und verketteten Zertifikat. Zertifikate sind besonders vorteilhaft für den kennwortlosen Datenfluss zwischen Systemkomponenten und sind Nachweise für die Identifizierung, die innerhalb eines bestimmten Kontexts getestet und als vertrauenswürdig erwiesen wurde.

Wenn Sie Azure IoT Hub verwenden, wenn diese gemäß dokumentierten Empfehlungen konfiguriert sind, werden diese Konzepte bereits integriert und vereinfachen die Bereitstellung eines gesicherten und robusten Systems.

Sie müssen diese Konzepte auch anwenden, wenn Sie eine direkte Verbindung mit Nicht-Azure-Endpunkten oder -Diensten herstellen. Wenn Sie beispielsweise MQTT verwenden, kann ein Gerät seine eigene Identität als Teil des MQTT-Themas enthalten, in dem es veröffentlicht wird. Bevor Sie jedoch ein Themenupdate vom Gerät akzeptieren, muss der MQTT-Server überprüfen, ob das Zertifikat, das das Gerät bereitstellt, authentifiziert, um es in diesem spezifischen Thema zu veröffentlichen.

Azure Sphere-Gerätezertifikat und Geräte-ID-Zugriff

Der Codeausschnitt "Azure Sphere Device ID abrufen" veranschaulicht, wie die Azure Sphere-Geräte-ID in einer allgemeinen Anwendung abgerufen wird. Sie gibt die Geräte-ID als Zeichenpuffer von 128 Zeichen zurück. Mit diesem Codeausschnitt wird wolfSSL aufgefordert, eine Sitzung mit dem Zertifikat zu öffnen, den Kontext und das Zertifikat abzurufen, die Antragsteller-ID des Zertifikats zu analysieren, das die Geräte-ID für Azure Sphere-Geräte ist, und geben sie als char Zeiger zurück.